시험 대비를 위한 데이터베이스 보안의 개념 및 기능
본 자료는 9페이지 의 미리보기를 제공합니다. 이미지를 클릭하여 주세요.
닫기
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
해당 자료는 9페이지 까지만 미리보기를 제공합니다.
9페이지 이후부터 다운로드 후 확인할 수 있습니다.

소개글

시험 대비를 위한 데이터베이스 보안의 개념 및 기능에 대한 보고서 자료입니다.

목차

1. 데이터베이스 보안의 개념
1) 사용 권한 및 액세스 권한(Analysis Services - 다차원 데이터)
2) 악의 있는 공격
3) 부주의한 관리

2. 보안시스템의 기능 요건
1) 백업 및 복구
2) 데이터베이스 관리 시스템(DBMS) 및 데이터 액세스
3) 트랜젝션

3. SQL Injection공격에 대한 방어
1) SQL Injection이란
2) 위협 사례
3) 보호 대책

본문내용

시스템 명령을 이용하여 시스템 조작이 가능하다.
이러한 취약점을 ‘SQL Injection 취약점’이라고 하며, 사용자가 데이터 입력이 가능한 수많은 웹 페이지 상에 이러한 취약점이 존재할 수 있다.
2) 위협 사례
① 사용자 인증 공격
위의 그림과 같이 인증을 처리하는 모듈이 입력 값에 대해 적절히 검사하지 않았을 때 공격자는 비정상적인 SQL Query를 삽입 할 수 있고 이를 이용해 사용중인 데이터베이스에 영향을 줄 수 있다.
다음은 SQL 구문을 이용하여 인증을 처리하는 일반적인 웹 페이지 구조를 나타낸다.
$row = mysql_query (\" SELECT 신청인명, 접수번호 from USER_TABLE where 신청인명=\'첫번째입력값\' and 접수번호=\'두번째입력값\' \");
if ( $row == 1 )
// 인증 성공 루틴
else
// 인증 실패 루틴
이 스크립트에 공격자가 test라는 신청인명을 입력하고 인터넷접수번호 대신 A\' or \'A\'=\'A 이란 값을 입력하면 아래와 같은 SQL Query가 완성된다.
SELECT 신청인명,접수번호 FROM user_table WHERE 신청인명=‘test\' AND 접수번호=\'A\' OR \'A\'=\'A\'
이 경우 구문의 WHERE 절은 참 AND 거짓 OR 참의 WHERE 절이 생성되며 무조건 참이 되어 SQL 구문은 올바른 입력 값으로 처리하게 되며 공격자는 웹 인증 페이지를 쉽게 통과할 수 있게 된다.
② MS-SQL상에서의 시스템 명령어 실행
MS-SQL 데이터베이스를 사용하는 경우를 예를 들어 보자. 만약 데이터베이스 접근 권한이 시스템 권한을 사용하고 있다면 MS-SQL에서 기본적으로 제공하고 있는 xp_cmdshell이라는 Stored Procedure를 이용하여 시스템 명령어를 실행할 수 있다. 예로 위의 인증 페이지에서 신청인명에 test, 접수번호에 ??; exec master..xp_cmdshell ??ping 10.10.1.2\'-- 값을 입력했다고 가정하면 SQL Query는 다음과 같이 완성될 것이다.
SELECT 신청인명, 접수번호 from USER_TABLE where 신청인명=\'test\' and 접수번호=\'; exec master..xp_cmdshell \'ping 10.10.1.2\'--
이 SQL Query는 SELECT Query와 xp_cmdshell Query를 SQL Query가 순차적으로 실행되게 되며, 마지막의 -- 문자는 이후의 모든 문자열을 주석 처리하여 문장을 완성시켜 준다.
③ 취약성 판단
- 검색어 필드 및 로그인ID, PASSWORD 필드에 큰따옴표(\"), 작은따옴표(\'), 세미콜론(;) 등을 입력한 후, DB error가 일어나는지 확인하자.
- 로그인 모듈 점검
MS SQL인 경우: ID 필드에 [\'or 1=1 ;--], 비밀번호 필드에는 아무 값이나 입력 한 후 로그인을 시도한다.
Oracle인 경우: ID 필드에 [\'or 1=1 --], 비밀번호 필드에는 아무 값이나 입력한 후 로그인을 시도한다.
- 기타
ID 필드에 [\'or \'\'=\'], 비밀번호 필드에 [\'or \'\'=\']을 입력한 후 로그인을 시도한다.
※ 위 예제 이외에도 다양한 방법이 가능하기 때문에, 로그인 및 사용자 입력 값을 사용하는 소스에서 DB Query 생성 방식을 직접 점검해야 한다.
3) 보호 대책
① 일반 대책
- 데이터베이스와 연동을 하는 스크립트의 모든 파라미터들을 점검하여 사용자의 입력 값이 SQL injection을 발생시키지 않도록 수정한다.
- 사용자 입력이 SQL injection을 발생시키지 않도록 사용자 입력 시 특수문자(\' \" / \\ ; : Space -- +등)가 포함되어 있는지 검사하여 허용되지 않은 문자열이나 문자가 포함된 경우에는 에러로 처리한다.
- SQL 서버의 에러 메시지를 사용자에게 보여주지 않도록 설정한다. 공격자는 리턴 되는 에러 메시지에 대한 분석을 통하여 공격에 성공할 수 있는 SQL Injection 스트링을 알아낼 수 있다. 따라서 SQL 서버의 에러 메시지를 외부에 제공하지 않도록 한다.
- 웹 애플리케이션이 사용하는 데이터베이스 사용자의 권한을 제한한다. 가능하면 일반 사용자 권한으로는 모든 system stored procedures에 접근하지 못하도록 하여 웹 애플리케이션의 SQL Injection 취약점을 이용하여 데이터베이스 전체에 대한 제어권을 얻거나 데이터베이스를 운용중인 서버에 대한 접근이 불가능하도록 한다.
② 개발 언어별 대책
- 사용자로부터 입력받은 변수로 SQL 쿼리 구문을 생성하는 CGI는 입력받은 변수를 체크하거나 변경하는 로직을 포함하고 있어야 한다.
- 입력받은 변수와 데이터 베이스 필드의 데이터형을 일치 시켜야 하고, 사용 중인 SQL 구문을 변경시킬 수 있는 특수문자가 포함되어 있는지 체크해야 한다.
- 검색 부분과 같이 클라이언트로부터 생성된 SQL 구문을 받는 부분이 있다면 이를 제거해야 한다.
방 법
장 점
단 점
IPS / 웹방화벽을 이용 네트워크 에서 대응
공격 시그니처를 패턴으로 등록하여 패킷을 DROP
솔루션 설치 만으로
별도의 개발없이 대응이 가능
오탐으로 정상적인 요청의 차단 가능성 모든 패턴을 등록 하는것이 불가능
(100% 방어가 불가능)
웹서버에서 대응
서버 에러메세지 대신
별도의 에러 메시지 페이지로 리다이렉션
간단한 설정 만으로
리스크를 상당부분 감소
리스크가 감소되는 것이지 Injection을 막는것은 아님 Blind 기법으로 우회가 가능
웹페이지에서 대응
인자값중에 쿼터, select from등 SQL-Injection 문자열이 있을경우 예외 처리
100 % 인젝션 공격에 대응이 가능
모든 페이지에 일일이 작업 하는것은 상당한 개발 리소스를 필요로 함
서비스가 잘 되고 있는 페이지를 고쳐야 하는 부담
DB에서 대응
바인딩 쿼리나 SP를
사용하여 DB에서 인젝션이 안되도록 대응
100 % 인젝션 공격에 대응이 가능
모든 페이지에 일일이 작업 하는것은 상당한 개발 리소스를 필요로 함
서비스가 잘 되고 있는 페이지를 고쳐야 하는 부담
  • 가격1,900
  • 페이지수26페이지
  • 등록일2020.12.09
  • 저작시기2007.7
  • 파일형식한글(hwp)
  • 자료번호#1141772
본 자료는 최근 2주간 다운받은 회원이 없습니다.
다운로드 장바구니